Accord de traitement des données (DPA)

Le présent Accord de traitement des données (« DPA ») régit le traitement des données à caractère personnel que NOCTION PLATFORM, S.L. (« Scennio », le Sous-traitant) réalise pour le compte de l’Établissement contractant (le Responsable du traitement) dans le cadre de la fourniture de la plateforme Scennio, conformément à l’article 28 du Règlement (UE) 2016/679 (RGPD). Il fait partie intégrante des Conditions commerciales conclues entre les parties.

Responsable du traitement : l’Établissement contractant (restaurant, lieu de loisirs, salle ou organisateur) qui détermine les finalités et les moyens du traitement des données de ses clients.

Sous-traitant : NOCTION PLATFORM, S.L. (marque « Scennio »), qui traite les données uniquement pour le compte et selon les instructions documentées du Responsable du traitement.

Le Sous-traitant traite les données à caractère personnel pour le compte du Responsable à la seule fin de fournir les services de la plateforme. Le traitement dure pendant la durée du contrat principal ; à son terme, la clause de suppression ou de restitution s’applique.

Le traitement comprend les opérations nécessaires à la vente de billets, aux réservations, aux listes, aux commandes, au contrôle d’accès, au traitement des paiements, à la communication avec les participants ainsi qu’aux fonctions d’analyse et d’assistance associées à la plateforme.

Personnes concernées : les clients finaux, les participants et les utilisateurs du Responsable. Données : données d’identification et de contact (nom, e-mail, téléphone), données de réservation/achat et de paiement (tokenisées), et données techniques d’utilisation. Aucun traitement de catégories particulières de données n’est prévu.

Le Responsable détermine les finalités et les moyens du traitement et garantit disposer d’une base juridique valable pour les données qu’il met à la disposition du Sous-traitant. Il appartient au Responsable d’informer les personnes concernées et, le cas échéant, de recueillir leur consentement, de traiter les demandes d’exercice de droits et de donner par écrit les instructions de traitement. Le Responsable garantit que ses instructions sont licites et ne violent pas la réglementation en matière de protection des données.

Le Sous-traitant traite les données uniquement selon les instructions documentées du Responsable, y compris en matière de transferts internationaux, sauf obligation légale ; n’utilise les données à aucune autre fin ; et assiste le Responsable dans le respect de ses obligations.

Le Sous-traitant informe immédiatement le Responsable si, à son avis, une instruction viole le RGPD, la loi organique espagnole 3/2018 (LOPDGDD) ou une autre réglementation de l’Union ou des États membres en matière de protection des données, et peut suspendre l’exécution de cette instruction jusqu’à ce que le Responsable la confirme ou la modifie.

Le Sous-traitant garantit que les personnes autorisées à traiter les données se sont engagées à la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité.

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris, le cas échéant, la pseudonymisation et le chiffrement, le contrôle d’accès, la journalisation des événements, les sauvegardes, la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes, ainsi que des procédures de vérification et d’évaluation régulières de leur efficacité.

Le Responsable autorise de manière générale le recours à des sous-traitants ultérieurs (par ex. prestataires d’hébergement, de paiement, de communication et d’analyse). Le Sous-traitant impose à chaque sous-traitant ultérieur les mêmes obligations de protection des données et informe de tout ajout ou changement, permettant au Responsable de s’y opposer pour des motifs légitimes. Le Sous-traitant demeure pleinement responsable envers le Responsable de l’exécution par le sous-traitant ultérieur de ses obligations en matière de protection des données. La liste à jour des sous-traitants ultérieurs est disponible sur demande à info@scennio.com. Les sous-traitants ultérieurs peuvent inclure des fournisseurs de modèles d'intelligence artificielle utilisés par les fonctionnalités d'assistance de la plateforme (Scennio Copilot), soumis aux mêmes obligations et, le cas échéant, aux garanties de transfert international prévues dans le présent DPA.

Le Sous-traitant assiste le Responsable, par des mesures techniques et organisationnelles appropriées, dans le traitement des demandes d’exercice des droits des personnes concernées et dans le respect des obligations des art. 32 à 36 du RGPD (sécurité, notification des violations et analyses d’impact).

Le Sous-traitant notifie au Responsable sans retard injustifié après avoir pris connaissance d’une violation de données à caractère personnel, en fournissant les informations nécessaires pour que le Responsable puisse satisfaire à ses propres obligations de notification.

Le Sous-traitant tient par écrit et pour le compte du Responsable un registre de toutes les catégories d’activités de traitement effectuées, conformément à l’article 30, paragraphe 2, du RGPD, et le met à la disposition du Responsable et de l’autorité de contrôle sur demande.

Au choix du Responsable, le Sous-traitant supprime ou restitue toutes les données à caractère personnel à la fin de la fourniture des services et supprime les copies existantes, sauf obligation légale de conservation. À la demande du Responsable, le Sous-traitant certifie cette suppression par écrit.

Le Sous-traitant met à la disposition du Responsable les informations nécessaires pour démontrer le respect de l’art. 28 et permet et contribue aux audits, y compris les inspections, réalisés par le Responsable ou un auditeur mandaté, moyennant un préavis raisonnable.

Lorsque le traitement implique des transferts hors de l’EEE, le Sous-traitant garantit des garanties appropriées au titre du chapitre V du RGPD (décisions d’adéquation, y compris le cadre EU-U.S. Data Privacy Framework, ou clauses contractuelles types).

Chaque partie répond du dommage qu’elle cause du fait du manquement à ses obligations au titre de l’article 82 du RGPD. Le Sous-traitant n’est responsable que s’il n’a pas respecté les obligations du RGPD spécifiquement destinées aux sous-traitants ou s’il a agi en dehors ou à l’encontre des instructions licites du Responsable.

Le présent DPA est régi par le droit espagnol et par le RGPD et fait partie des Conditions commerciales entre les parties, avec la même durée. L’autorité de contrôle compétente est l’Agence espagnole de protection des données (AEPD). En cas de conflit en matière de protection des données, le présent DPA prévaut.

Pour toute question relative à ce DPA, vous pouvez nous écrire à info@scennio.com .